合乎伦理的分析。 仅采集所需的最少数据。
理解用户行为不应以个人隐私为代价。MousePlayer 打造的是洞察工具，而非监控工具。
我们相信，强大的数字分析与严格的数据隐私并不冲突。MousePlayer 从一开始便采用隐私优先架构，让您以尽可能少的个人数据获取改进 UI/UX 所需的遥测数据。这些数据并非匿名数据，而是假名化数据；下文将准确解释其含义。
假名化，而非实名
我们关注元素*如何*被交互，而非*谁*在交互。MousePlayer 为访客和会话分配随机的假名化标识符，仅在相关网站上有效。不进行跨网站跟踪、不采集指纹，也不尝试识别访客身份。仅当您作为运营者自行发送或指定时，访客才会有姓名或您自己的客户 ID。行为画像与 AI 分析描述的是项目内的访问群体或单个假名化访客，不会关联其他项目或其他客户的数据。
浏览器内遮蔽
输入在源头被遮蔽。在任何数据传至服务器之前，所有遮蔽级别下的密码与付款数据，以及默认情况下表单字段中输入的全部文本，都会直接在访客浏览器中变为不可读。页面自身显示的内容不在此范围；这正是下文标记的用途。
您的数据，独立隔离
我们是工具提供商，而非数据经纪商。遥测数据严格隔离在您的工作区内。我们不出售访客数据，也不将其交给第三方用于广告、画像或营销。数据仅会向您自行设置的接收方（集成与分享链接）、次级处理者列表中列明的各方，以及我们依法必须披露的对象传出 MousePlayer。
合乎伦理的跟踪机制
1. 表单输入与按键数据净化
观看会话回放应揭示可用性摩擦，而非个人秘密。MousePlayer 的客户端跟踪脚本采用严格的数据净化逻辑。用户与标准输入字段交互时，录制数据默认会立即被遮蔽。可以看到用户在字段中输入，以便衡量交互时间，但实际字符会被替换为不可读标记，或被完全移除。在每个遮蔽级别，密码和付款字段始终被遮蔽。存在两个限制，我们明确说明而不回避：较弱的两个遮蔽级别仅在书面批准后启用，且遮蔽始终无法覆盖您自己的页面输出到文档中的内容。两者均在以下文件中说明： 数据处理协议。
2. DOM 元素遮蔽
对于处理高度敏感数据的网站（如医疗门户或财务仪表板），MousePlayer 允许开发者标记绝不能录制的区域。有两种标记，作用不同。
属性 data-mp-mask或类 mp-masked， 应放在包裹敏感区域的元素上。在该区域内，页面快照离开浏览器之前，每个文本节点的每个非空白字符都会被替换为星号；除少数技术属性白名单外，每个属性值都会被替换为 [FILTERED]。替换发生在副本上，访客看到的页面不受影响。
属性 data-mp-ignore或类 mp-ignore， 作用范围更窄：它会抑制表单字段的 值 ，但不移除页面快照中的任何内容。
注意： mp-mask — 缺少 data- 前缀且末尾没有 ed — 并非标记，不会产生效果。如果已使用，请替换为 data-mp-mask。
“我们的理念很简单：从未采集的内容，就不会被暴露、泄漏或滥用。隐私不是可以开关的功能，而是架构基础的一部分。”
3. 透明的地理定位
建立连接时，我们根据访客 IP 地址确定国家、城市和网络运营商。地址本身仅以截断形式存储（IPv4 去掉最后一个八位组，IPv6 去掉最后一个地址块）。完整地址仅在连接期间保留于内存、为检测连接洪泛而短暂保留数秒，以及在疑似攻击而被自动封禁时，以缓存中的封禁条目形式保留最多 24 小时。
4. 短暂的实时查看
Live Viewer 通过加密连接（WSS）向查看者转发鼠标坐标和页面变化。实时查看本身不额外创建副本；只存储原本就会作为会话录制存储的内容。实时连接结束后，内存中的临时缓冲区会被清空。